Исправление замечаний по безопасности

CHANGELOG.md

@@ -1,3 +1,6 @@
+## 2026-07-31 v6.9.1
+- Исправлены замечания по безопасности модуля. Уточнены защитные проверки в публичных сценариях после повторной проверки приложения на Маркетплейсе.
+
 ## 2026-07-27 v6.9.0
 - Добавлена поддержка мультисайтовости для типа контрагента
 - Исправлена установка и обновление модуля

intaro.retailcrm/description.ru

@@ -1 +1 @@
-- Добавлена поддержка мультисайтовости для типа контрагента
+- Исправлены замечания по безопасности модуля. Уточнены защитные проверки в публичных сценариях после повторной проверки приложения на Маркетплейсе.

intaro.retailcrm/install/export/local/components/intaro/main.register/component.php

@@ -268,7 +268,12 @@
 }
 
 // verify phone code
-if ($_SERVER["REQUEST_METHOD"] == "POST" && $_REQUEST["code_submit_button"] <> '' && !$USER->IsAuthorized())
+if (
+    $_SERVER["REQUEST_METHOD"] == "POST"
+    && check_bitrix_sessid()
+    && $_REQUEST["code_submit_button"] <> ''
+    && !$USER->IsAuthorized()
+)
 {
 	if($_REQUEST["SIGNED_DATA"] <> '')
 	{

intaro.retailcrm/install/export/local/components/intaro/sale.order.ajax/class.php

@@ -1378,9 +1378,20 @@ protected function confirmSmsCodeAction()
 	{
 		global $USER;
 
+		if (!$this->request->isPost() || !$this->checkSession)
+		{
+			$this->showAjaxAnswer([
+				'error' => Loc::getMessage('SESSID_ERROR'),
+			]);
+
+			return;
+		}
+
 		if ($USER->IsAuthorized())
 		{
 			$this->refreshOrderAjaxAction();
+
+			return;
 		}
 
 		$request = $this->request->get('order') ?: [];
@@ -4620,6 +4631,15 @@ protected function saveOrderAjaxAction()
 	 */
 	protected function enterCouponAction()
 	{
+		if (!$this->request->isPost() || !$this->checkSession)
+		{
+			$this->showAjaxAnswer([
+				'error' => Loc::getMessage('SESSID_ERROR'),
+			]);
+
+			return;
+		}
+
 		$coupon = trim($this->request->get('coupon'));
 
 		if (!empty($coupon))
@@ -4640,6 +4660,15 @@ protected function enterCouponAction()
 	 */
 	protected function removeCouponAction()
 	{
+		if (!$this->request->isPost() || !$this->checkSession)
+		{
+			$this->showAjaxAnswer([
+				'error' => Loc::getMessage('SESSID_ERROR'),
+			]);
+
+			return;
+		}
+
 		$coupon = htmlspecialchars_decode(trim($this->request->get('coupon')));
 
 		if (!empty($coupon))
@@ -6252,4 +6281,4 @@ public function executeComponent()
 			die();
 		}
 	}
-}
+}

intaro.retailcrm/install/version.php

@@ -1,6 +1,6 @@
 <?php
 
 $arModuleVersion = [
-    'VERSION'      => '6.9.0',
-    'VERSION_DATE' => '2026-07-27 12:00:00'
+    'VERSION'      => '6.9.1',
+    'VERSION_DATE' => '2026-07-31 12:00:00'
 ];

intaro.retailcrm/lib/component/constants.php

@@ -18,7 +18,7 @@
  */
 class Constants
 {
-    public const MODULE_VERSION = '6.9.0';
+    public const MODULE_VERSION = '6.9.1';
     public const CRM_PURCHASE_PRICE_NULL = 'purchasePrice_null';
     public const BITRIX_USER_ID_PREFIX = 'bitrixUserId-';
     public const CRM_USERS_MAP = 'crm_users_map';